Uso de tokenização externa¶

Etapa 1: Criar uma função externa¶

Crie uma função externa no Snowflake e configure seu ambiente de provedor de nuvem para se comunicar com a função externa. Para obter mais detalhes, consulte:

• Criação de funções externas em AWS

• Criação de funções externas no Microsoft Azure

• Criação de funções externas em GCP

Etapa 2: Conceder privilégios de política de mascaramento a uma função personalizada¶

Um responsável por segurança ou privacidade deve servir como administrador da política de mascaramento (ou seja, função personalizada: MASKING_ADMIN) e ter os privilégios de definir, gerenciar e aplicar políticas de mascaramento às colunas.

O Snowflake fornece os seguintes privilégios para conceder a um responsável por segurança ou privacidade para políticas de mascaramento de segurança em nível de coluna:

O exemplo seguinte cria a função MASKING_ADMIN e concede privilégios de política de mascaramento a essa função.

Crie uma função personalizada de administrador de políticas de mascaramento:

use role useradmin;
CREATE ROLE masking_admin;

Copy

Conceda privilégios à função masking_admin:

use role securityadmin;
GRANT CREATE MASKING POLICY on SCHEMA <db_name.schema_name> to ROLE masking_admin;
GRANT APPLY MASKING POLICY on ACCOUNT to ROLE masking_admin;

Copy

Permita que a função table_owner defina ou remova a política de mascaramento ssn_mask (opcional):

GRANT APPLY ON MASKING POLICY ssn_mask to ROLE table_owner;

Copy

Onde:

• db_name.schema_name

  Especifica o identificador do esquema para o qual o privilégio deve ser concedido.

Para obter mais informações, consulte:

• GRANT <privilégios>

• Configuração do controle de acesso

• Privilégios de controle de acesso

Etapa 3: Conceder a função personalizada a um usuário¶

Conceda a função personalizada MASKING_ADMIN a um usuário que serve como responsável por segurança ou privacidade.

use role useradmin;
grant role masking_admin to user jsmith;

Etapa 4: Criar uma política de mascaramento¶

Neste exemplo representativo, os usuários com a função personalizada ANALYST veem os valores de e-mail não tokenizados. Usuários sem a função personalizada ANALYST veem os valores tokenizados.

A função externa para destokenizar os valores de e-mail é de_email().

-- create masking policy

create or replace masking policy email_de_token as (val string) returns string ->
  case
    when current_role() in ('ANALYST') then de_email(val)
    else val
  end;

Etapa 5: Aplicar uma política de mascaramento a uma coluna de tabela ou exibição¶

Estes exemplos consideram que uma política de mascaramento não é aplicada à coluna de tabela quando a tabela é criada e à coluna de exibição quando a exibição é criada. Opcionalmente, você pode aplicar uma política de mascaramento a uma coluna da tabela quando criar a tabela com uma instrução CREATE TABLE ou uma coluna de exibição com uma instrução CREATE VIEW.

Execute as seguintes instruções para aplicar a política a uma coluna de tabela ou a uma coluna de exibição.

-- apply masking policy to a table column

alter table if exists user_info modify column email set masking policy email_de_token;

-- apply the masking policy to a view column

alter view user_info_v modify column email set masking policy email_de_token;

Etapa 6: Consultar dados no Snowflake¶

Execute duas consultas diferentes no Snowflake, uma consulta com a função personalizada ANALYST e outra consulta com uma função diferente, para verificar se os usuários sem a função personalizada ANALYST veem valores tokenizados.

-- using the ANALYST custom role

use role ANALYST;
select email from user_info; -- should see plain text value

-- using the PUBLIC system role

use role public;
select email from user_info; -- should see tokenized value